如何防御分布式拒绝服务DDoS的攻击

分布式拒绝服务(Distributed Denial of service)简称DDoS,很多DOS攻击源一起攻击某台服务器就组成了DDoS攻击,攻击指借助于客户/服务器技术,将多个计算机联合起来作为攻击平台,对一个或多个目标发动DoS攻击,从而成倍地提高拒绝服务攻击的威力。通常,攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上,在一个设定的时间主控程序将与大量代理程序通讯,代理程序已经被安装在Internet上的许多计算机上,代理程序收到指令时就发动攻击。

DDoS是英文Distributed Denial of Service的缩写,中文意思是“分布式拒绝服务”。 是目前黑客经常采用而难以防范的攻击手段。那什么又是拒绝服务呢?用户可以这样理解,凡是能导致合法用户不能进行正常的网络服务的行为都算是拒绝服务攻击。拒绝服务攻击的目的非常明确,就是要阻止合法用户对正常网络资源的访问。

  黑客们通过很多“傀儡主机”向远程计算机发送大量看似合法的数据包,从而造成网络阻塞或服务器资源耗尽而导致拒绝服务。分布式拒绝服务攻击一旦被实施,攻击数据包就会犹如洪水般涌向远程计算机,从而把合法的数据包淹没,导致合法用户无法正常地访问服务器的网络资源,侵害合法用户的的利益。

DDoS的表现形式主要有两种,一种是流量攻击,主要是针对网络带宽的攻击,即大量攻击包导致网络带宽被阻塞,合法的网络数据包被虚假的网络数据包淹没而无法到达主机;另一种为资源耗尽攻击,主要是针对服务器主机进行的攻击,即通过大量的攻击包导致主机的内存被耗尽,或是CPU被内核及应用程序占完而造成无法提供网络服务,这些攻击都会给合法用户带来极大的损失。聪明的黑客还会让这些僵尸计算机伪造发送攻击数据包的IP地址,并且将攻击目标的IP地址插在数据包的原始地址处,这就是所谓的反射攻击。服务器或路由器看到这些资料包后会转发(即反射)给原始IP地址一个接收响应,更加重了目标主机所承受的数据流。

DDoS的攻击类型目前主要包括三种方式,即TCP-SYN Flood攻击、UDP Flood攻击以及提交脚本攻击。

那么面对这些DDoS的攻击我们能做些什么呢,如何降低被攻击的可能行呢?下面的防范方法可以给你答案。

1、确保所有服务器采用最新系统,并打上安全补丁。计算机紧急响应协调中心发现,几乎每个受到DDoS攻击的系统都没有及时打上补丁。对一些重要的信息(例如系统配置信息)建立和完善备份机制。对一些特权账号(例如管理员账号)的密码设置要谨慎。通过这样一系列的举措可以把攻击者的可乘之机降低到最小。

2、删除多余的网络服务,在网络管理方面,要经常检查系统的物理环境,禁止那些不必要的网络服务。建立边界安全界限,确保输出的包受到正确限制。经常检测系统配置信息,并注意查看每天的安全日志。如果你是一个单机用户,可去掉多余不用的网络协议,完全禁止NetBIOS服务,从而堵上这个危险的“漏洞”。

3、自己定制防火墙规则,利用网络安全设备(例如:硬件防火墙)来加固网络的安全性,配置好这些设备的安全规则,过滤掉所有可能的伪造数据包。

4、确保从服务器相应的目录或文件数据库中删除未使用的服务如FTP或NFS。Wu-Ftpd等守护程序存在一些已知的漏洞,黑客通过根攻击就能获得访问特权系统的权限,并能访问其他系统――甚至是受防火墙保护的系统。

5、禁止内部网通过Modem连接至PSTN系统。否则,黑客能通过电话线发现未受保护的主机,即刻就能访问极为机密的数据。

6、禁止使用网络访问程序如Telnet、Ftp、Rsh、Rlogin和Rcp,以基于PKI的访问程序如SSH取代。SSH不会在网上以明文格式传送口令,而Telnet和Rlogin则正好相反,黑客能搜寻到这些口令,从而立即访问网络上的重要服务器。

7、限制在防火墙外与网络文件共享。这会使黑客有机会截获系统文件,并以特洛伊木马替换它,文件传输功能无异将陷入瘫痪。

8、在防火墙上运行端口映射程序或端口扫描程序。大多数事件是由于防火墙配置不当造成的,使DoS/DDoS攻击成功率很高,所以定要认真检查特权端口和非特权端口。

9、检查所有网络设备和主机/服务器系统的日志。只要日志出现漏洞或时间出现变更,几乎可以肯定:相关的主机安全受到了危胁。

10、确保管理员对所有主机进行检查,而不仅针对关键主机。这是为了确保管理员知道每个主机系统在运行什么?谁在使用主机?哪些人可以访问主机?不然,即使黑客侵犯了系统,也很难查明。

虽然DDoS攻击不可避免,但相信做到以上十条,你就可以比别人更加远离DDos的攻击,保证合法用户的网络畅通。

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏魏艾斯博客www.vpsss.net

WordPress 百度熊掌号自动推送插件安装使用教程

百度熊掌号是百度推出的新平台,把你网站的原创内容在最短时间内展现到百度搜索结果中,有助于提高百度搜索排名和权重,也就提高了网站流量。按照百度要求,接入百度熊掌号...

2672
来自专栏FreeBuf

钓鱼邮件攻击中的猥琐技巧与策略

引言 钓鱼邮件攻击是社会工程学攻击中的一种常见的手段,其目的是欺骗受害人来进行一些操作,最终控制受害人。一般来说,钓鱼邮件从后续的攻击手段来说,可以分为两类: ...

2236
来自专栏FreeBuf

文档化身商业木马,对“盗神”的分析与溯源

前言 利用文档进行木马传播的手法,最近一段时间随着敲诈类木马的流行,而被广泛利用了起来。与此同时,这个手法也开始被传统木马所借鉴。近日哈勃分析系统捕捉到一类隐私...

1955
来自专栏FreeBuf

色情网站的光棍节“福利”:加密式挂马玩转流氓推广

双十一前夜,还想着通过同城交友或是某些不可描述的网站一解单身的烦恼?别急,不妨先来看看这些网站给光棍发的“福利”! 最近,360安全中心监测到一起网站弹窗广告挂...

2278
来自专栏大内老A

WCF传输安全(Transfer Security)的基本概念和原理:认证(Authentication)[上篇]

对于任何一个企业级应用来说,安全(Security)都是一个不可回避的话题。如何识别用户的身份?如何将用户可执行的操作和可访问的资源限制在其允许的权限范围之内?...

1898
来自专栏Netkiller

植入式攻击入侵检测解决方案

植入式攻击入侵检测解决方案 ---- 目录 1. 什么是植入式攻击? 2. 为什么骇客会在你的系统里面植入木马? 3. 什么时候被挂马? 4. 在那里挂马的? ...

2907

保护微服务(第一部分)

面向服务的体系结构(SOA)引入了一种设计范式,该技术讨论了高度分离的服务部署,其中服务间通过标准化的消息格式在网络上通信,而不关心服务的实现技术...

1285
来自专栏FreeBuf

窃听风云:扒掉你的最后一条“胖次”

“每个人的手机都是一部窃听器,不管你开不开机,都能被窃听。”在2009年上映的《窃听风云》中吴彦祖饰演的人物有这样一句台词,随着影片热映,“手机窃听”的问题被更...

1313
来自专栏杨建荣的学习笔记

服务器搬迁需要注意的几个地方

假设一台服务器要从一个机房迁移到另外一个机房,这个过程就好比你去出差,从北京到上海,怎么准备才是最方便,安全,快捷的。 如果出去时间不长,有了银行卡,...

3796
来自专栏FreeBuf

工具推荐: 汽车CAN总线分析框架CANToolz

aka YACHT (又一个汽车黑客工具) ? CANToolz 是一个分析控制局域网络CAN(Controller Area Network) 和设备的框架。...

2427

扫码关注云+社区